PT-2026-60478
CVE-2026-59859
·
تاريخ النشر
2026-07-16
·
تاريخ التحديث
2026-08-17
الوصف من
CVSS 4.0
8.7
عاليةالمقاييسAV:N/AC:L/AT:N/PR:N/UI:P/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات Kiota الأقدم من 1.29.1
إصدارات Kiota الأقدم من 1.32.4
الوصف
يتعرض مُنشئ PHP في Kiota إلى حقن حرفي في عملية إنشاء الكود. تفشل الدالة
SanitizeDoubleQuote() الموجودة في Writers/StringExtensions.cs في إخفاء الحرف $ عند تضمين أوصاف OpenAPI والحقول الافتراضية وأسماء الخصائص والسلاسل الأخرى المشتقة من المخطط في القيم الحرفية المزدوجة في PHP. وهذا يسمح للمهاجم الذي يتحكم في مواصفات OpenAPI باستخدام بنى الاستيفاء مثل ${...} أو $var أو {$obj->prop} لحقن كود PHP تعسفي في النموذج الذي تم إنشاؤه وفئات منشئ الطلبات، والذي يتم تقييمه بعد ذلك في وقت التشغيل.التوصيات
قم بالترقية إلى الإصدار 1.29.1 أو أحدث.
قم بالترقية إلى الإصدار 1.32.4 أو أحدث.
قم بمراجعة مواصفات OpenAPI وتنقيتها عن طريق إزالة أو استبدال السلاسل التي تحتوي على الحرف
$ قبل إنشاء الكود.قم بتنفيذ مراجعة إلزامية لملفات PHP التي تم إنشاؤها لتحديد السلاسل الموضوعة بين علامتي اقتباس مزدوجتين التي تحتوي على أنماط
${ أو $var أو {$.قم بتقييد استخدام مواصفات OpenAPI على المصادر الداخلية الموثوقة.
قم بإخفاء أحرف
$ يدويًا في السلاسل الثابتة الموضوعة بين علامتي اقتباس مزدوجتين داخل الملفات التي تم إنشاؤها عن طريق استبدال $ بـ $. وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾